Vertrag über die Auftragsverarbeitung (AV-Vertrag)

Anlage zu den AGB · Stand: 25.10.2026

§ 1 Parteien, Rangfolge

(1) Verantwortlicher ist der Kunde, der die Website bestellt hat (Name, Anschrift und E-Mail laut Bestellung). Auftragsverarbeiter ist Moritz Reiß, Digitales Geschäft, Hofmatte 20, 79232 March, E-Mail moritz.reiss@digitalesgeschaeft.de („ich“).

(2) Dieser AV-Vertrag ist Anlage und Bestandteil der AGB. Er gilt, solange ich für den Kunden personenbezogene Daten im Auftrag verarbeite. Widerspricht eine Regel der AGB diesem AV-Vertrag, geht dieser AV-Vertrag vor.

§ 2 Gegenstand, Dauer, Art und Zweck (Art. 28 Abs. 3 Satz 1 DSGVO)

(1) Gegenstand: Betrieb (Hosting) der Website des Kunden nach Nr. 2 der AGB, mit technischer Pflege, kleinen Änderungen und, falls im Fragebogen gewählt, Weiterleitung von Kontaktformular-Nachrichten.

(2) Dauer: ab Vertragsschluss bis zur Löschung nach § 10, also bis höchstens 30 Tage nach Vertragsende (AGB Nr. 8), in Sicherungskopien bis zum Ablauf ihrer Aufbewahrungsfrist nach Anhang 2 Nr. 6.

(3) Art der Verarbeitung: Speichern, Ausliefern, Protokollieren, Sichern und Löschen; bei Formularversand zusätzlich Entgegennehmen und Weiterleiten per E-Mail.

(4) Zweck: Auslieferung der Website an Besucher, Schutz vor Angriffen und Fehlern, Weiterleitung von Anfragen an den Kunden. Andere Zwecke gibt es nicht.

(5) Datenarten, betroffene Personen und sensible Daten: siehe Anhang 1.

§ 3 Weisungen (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)

(1) Ich verarbeite die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind die AGB, dieser AV-Vertrag und die Antworten des Kunden im Fragebogen, zum Beispiel ob ein Kontaktformular Nachrichten senden soll. Weitere Weisungen erteilt der Kunde per E-Mail. Ich bewahre sie bis zum Vertragsende plus 3 Jahre auf.

(2) Verpflichtet mich ein Gesetz der EU oder Deutschlands zu einer anderen Verarbeitung, sage ich das dem Kunden vorher, außer das Gesetz verbietet es.

(3) Halte ich eine Weisung für rechtswidrig, sage ich das dem Kunden unverzüglich. Ich darf sie aussetzen, bis der Kunde sie bestätigt oder ändert. Besteht der Kunde auf einer rechtswidrigen Weisung, darf ich den Vertrag aus wichtigem Grund kündigen.

(4) Daten aus der Website des Kunden (Logs, Formularnachrichten) verwende ich nicht für eigene Zwecke, auch nicht für eigene Besucherstatistiken. Würde ich es tun, wäre ich dafür selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO).

(5) Übermittlungen in ein Land außerhalb der EU und des EWR finden nicht statt. Alle Unterauftragsverarbeiter in Anhang 3 verarbeiten in Deutschland oder der EU.

§ 4 Vertraulichkeit (lit. b)

Zugriff auf die Daten habe nur ich. Setze ich Mitarbeiter oder freie Helfer ein, verpflichte ich sie vorher schriftlich oder in Textform zur Vertraulichkeit und gebe ihnen nur den Zugriff, den ihre Aufgabe braucht.

§ 5 Sicherheit (lit. c, Art. 32 DSGVO)

Ich treffe mindestens die technischen und organisatorischen Maßnahmen (TOM) aus Anhang 2. Ich darf sie durch gleichwertige oder bessere Maßnahmen ersetzen und dokumentiere das in Anhang 2. Das Schutzniveau darf dabei nicht sinken.

§ 6 Unterauftragsverarbeiter (lit. d, Art. 28 Abs. 2 und 4 DSGVO)

(1) Der Kunde genehmigt die Unterauftragsverarbeiter aus Anhang 3 (allgemeine schriftliche Genehmigung).

(2) Will ich einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teile ich das dem Kunden mindestens 4 Wochen vorher per E-Mail mit, mit Name, Sitz, Ort der Verarbeitung und Aufgabe. Eine Mitteilung nur auf meiner Website genügt nicht.

(3) Der Kunde kann bis zum Ablauf dieser Frist per E-Mail widersprechen. Finden wir keine Lösung, kann der Kunde den Vertrag zum Zeitpunkt des Wechsels kündigen. Beim Jahrestarif erstatte ich dann den nicht verbrauchten Teil anteilig. Ohne Widerspruch gilt die Änderung als genehmigt.

(4) Jeder Unterauftragsverarbeiter wird vertraglich auf im Wesentlichen dieselben Datenschutzpflichten verpflichtet wie ich hier. Für ihn hafte ich dem Kunden gegenüber wie für mich selbst. Auf Wunsch schicke ich dem Kunden eine Kopie des Vertrags oder den Link auf dessen Standardvertrag; Geschäftsgeheimnisse darf ich schwärzen.

(5) Keine Unterauftragsverarbeiter sind Dienstleister, die nur für meine eigenen Zwecke arbeiten, zum Beispiel Zahlungsabwicklung (Stripe) und Domain-Registrierung (Porkbun). Für diese Daten bin ich selbst Verantwortlicher; sie stehen in meiner Datenschutzerklärung.

§ 7 Rechte der betroffenen Personen (lit. e)

(1) Wendet sich eine betroffene Person mit einem Antrag (Auskunft, Löschung, Widerspruch usw.) an mich, leite ich ihn unverzüglich an den Kunden weiter. Ich antworte nicht selbst, außer der Kunde erlaubt es.

(2) Ich helfe dem Kunden, solche Anträge zu beantworten, zum Beispiel indem ich Log-Einträge zu einer IP-Adresse heraussuche oder lösche. Bei geringem Aufwand kostet das nichts.

§ 8 Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung (lit. f, Art. 32 bis 36 DSGVO)

(1) Datenpanne: Bemerke ich eine Verletzung des Schutzes der Daten des Kunden, melde ich sie ihm unverzüglich, spätestens innerhalb von 48 Stunden, per E-Mail. Die Meldung enthält, soweit bekannt:

was passiert ist, welche Datenarten und ungefähr wie viele Personen und Datensätze betroffen sind;
eine Kontaktstelle für Rückfragen (ich, moritz.reiss@digitalesgeschaeft.de);
die wahrscheinlichen Folgen und was ich dagegen getan habe oder vorschlage.

Was ich noch nicht weiß, liefere ich nach, sobald ich es weiß.

(2) Damit kann der Kunde seine eigene Meldefrist von 72 Stunden an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) einhalten. Ich helfe ihm bei der Meldung und, wenn nötig, bei der Benachrichtigung der Betroffenen (Art. 34 DSGVO).

(3) Braucht der Kunde eine Datenschutz-Folgenabschätzung oder muss er die Aufsichtsbehörde vorher fragen, gebe ich ihm die Angaben, die ich dafür habe. Erfahre ich, dass Daten unrichtig oder veraltet sind, sage ich es ihm.

§ 9 Pflichten und Rechte des Kunden

(1) Der Kunde ist dafür verantwortlich, dass die Verarbeitung erlaubt ist und seine Website eine richtige Datenschutzerklärung hat. Den Text liefere ich als Teil der Website mit; der Kunde bestätigt ihn im Fragebogen.

(2) Der Kunde sagt mir unverzüglich Bescheid, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerkt.

(3) Der Kunde darf Weisungen erteilen (§ 3), Unterauftragsverarbeitern widersprechen (§ 6), Nachweise und Prüfungen verlangen (§ 11) und bei Vertragsende Löschung oder Rückgabe wählen (§ 10).

§ 10 Löschung und Rückgabe nach Vertragsende (lit. g)

(1) Bei Vertragsende wählt der Kunde, ob ich die Daten lösche oder ob er zuerst eine Kopie bekommt. Fragt er bis zum Vertragsende nicht nach einer Kopie, gilt Löschung als gewählt.

(2) Ich lösche die Website mit allen Inhalten, Logs und Formulardaten spätestens 30 Tage nach Vertragsende (AGB Nr. 8). Sicherungskopien laufen mit ihrer Frist nach Anhang 2 Nr. 6 aus. Auf Wunsch bestätige ich die Löschung per E-Mail.

(3) Was ich nach Gesetz aufbewahren muss, behalte ich nur so lange, wie das Gesetz es verlangt. Rechnungen sind keine Daten aus diesem Auftrag.

§ 11 Nachweise und Prüfungen (lit. h)

(1) Auf Anfrage gebe ich dem Kunden alle Informationen, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen: Anhang 2 in aktueller Fassung, die Verträge mit den Unterauftragsverarbeitern, schriftliche Antworten auf Fragen.

(2) Der Kunde darf die Verarbeitung in angemessenen Abständen oder bei Anzeichen für einen Verstoß prüfen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer. Termine vor Ort kündigt er mindestens 14 Tage vorher an, außer bei konkreten Anzeichen für einen Verstoß. Das Rechenzentrum betreibt Hetzner; dort ersetzen die Nachweise von Hetzner die Prüfung vor Ort. Seine eigenen Kosten trägt jede Seite selbst.

§ 12 Änderungen, Kündigung

(1) Änderungen dieses AV-Vertrags teile ich wie Änderungen der AGB mit (AGB Nr. 13): mindestens 4 Wochen vorher per E-Mail, mit Widerspruchsrecht. Eine Veröffentlichung nur auf meiner Website genügt nicht.

(2) Der AV-Vertrag endet mit dem Hauptvertrag. Die Pflichten aus §§ 4, 5 und 10 gelten fort, bis alle Daten gelöscht oder zurückgegeben sind.

(3) Verstoße ich erheblich oder dauerhaft gegen diesen Vertrag, kann der Kunde die Verarbeitung stoppen und den Vertrag aus wichtigem Grund kündigen.

Anhang 1: Beschreibung der Verarbeitung

Betroffene Personen	1. Besucher der Website des Kunden. 2. Personen, die über das Kontaktformular schreiben (nur wenn Formularversand gewählt). 3. Personen, die auf der Website genannt oder gezeigt werden: Inhaber, Mitarbeiter, Verfasser von Bewertungen (Vorname oder Initialen), Personen auf Fotos.
Datenarten	1. Verbindungsdaten (Server-Log): IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser-Kennung, Statuscode. 2. Formulardaten: Name, Telefon, E-Mail, Nachricht. 3. Inhalte der Website: Namen, Fotos, Kontaktdaten und Bewertungsauszüge, die der Kunde geliefert oder bestätigt hat.
Keine Daten aus	Cookies, Analyse- oder Tracking-Diensten, eingebetteten Inhalten Dritter. Die Website setzt nichts davon ein.
Sensible Daten (Art. 9 DSGVO)	Nicht vorgesehen. Bei Betrieben aus dem Gesundheitsbereich können Besucher sie aber in eine Formularnachricht schreiben. Schutz dann: Hinweis am Formular „Bitte keine Gesundheitsangaben senden“, Übertragung nur verschlüsselt, keine Speicherung der Nachricht auf dem Webserver nach dem Versand.
Art	Speichern, Ausliefern, Protokollieren, Sichern, Löschen; bei Formularversand Entgegennehmen und Weiterleiten per E-Mail.
Zweck	Auslieferung der Website, Sicherheit und Fehlersuche, Weiterleitung von Anfragen an den Kunden.
Dauer	Server-Logs: höchstens 30 Tage. Formularnachrichten: nur bis zum Versand an den Kunden. Website-Inhalte: Vertragslaufzeit plus höchstens 30 Tage. Sicherungen: siehe Anhang 2 Nr. 6.

Anhang 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 23.10.2026. Punkte mit „geprüft“ wurden an diesem Tag am Server nachgesehen.

Ort und Rechenzentrum: Eigener Server bei Hetzner Online GmbH in einem Rechenzentrum in Deutschland. Zutritt, Strom, Kühlung und Brandschutz regelt Hetzner (Hetzner-AVV,).
Zugang zum Server: Anmeldung nur per SSH-Schlüssel. Passwort-Anmeldung ist aus, Root nur mit Schlüssel (geprüft: PasswordAuthentication no, PermitRootLogin prohibit-password). Firewall ufw und fail2ban sind aktiv (geprüft).
Updates: Sicherheitsupdates des Betriebssystems laufen automatisch (unattended-upgrades aktiv, geprüft).
Übertragung: Die Website wird nur verschlüsselt ausgeliefert (https/TLS). Formularnachrichten gehen per SMTP mit TLS an den Kunden.
Speicherung: Die Server-Festplatte ist nicht eigens verschlüsselt. Den Schutz bilden Nr. 1 bis 3. Die Website enthält nur Inhalte, die ohnehin öffentlich sind; vertraulich sind nur Logs und Formularnachrichten.
Sicherungen: Tägliche Sicherung mit restic (clientseitig verschlüsselt) auf eine Hetzner Storage Box, Hetzner Online GmbH, Deutschland; Aufbewahrungsfrist 30 Tage. Eine Wiederherstellung wird mindestens einmal im Quartal getestet.
Datenminimierung: Keine Cookies, kein Tracking, keine Inhalte Dritter, Schriften vom eigenen Server. Logs nur mit den Feldern aus Anhang 1.
Begrenzte Speicherdauer: Server-Logs werden nach höchstens 30 Tagen gelöscht.
Zugriff und Rollen: Nur der Inhaber hat Zugriff. KI-Werkzeuge und Skripte lesen keine Logs oder Formularnachrichten von Kundenseiten, solange der Anbieter des Werkzeugs nicht in Anhang 3 steht.
Protokollierung und Kontrolle: SSH-Anmeldungen protokolliert das System; fail2ban sperrt wiederholte Fehlversuche. Die TOM prüfe ich mindestens einmal im Jahr und nach jedem Sicherheitsvorfall.
Löschung: Löschung der Website-Dateien, Logs und Formulardaten nach § 10. Sicherungen laufen nach Nr. 6 aus.
Unterstützung des Kunden: Log-Auszüge oder Löschungen zu einer IP-Adresse binnen 7 Tagen nach Anfrage. Meldung von Datenpannen nach § 8.

Anhang 3: Unterauftragsverarbeiter (genehmigt mit Vertragsschluss)

Name, Sitz	Ort der Verarbeitung	Aufgabe	Wann
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Rechenzentrum in Deutschland	Server (Hosting, Logs)	immer
Hetzner Online GmbH (Storage Box), Industriestr. 25, 91710 Gunzenhausen	Deutschland	Speicherung der Sicherungen	immer